Notificação de vulnerabilidades

Política de Notificação e Divulgação de Vulnerabilidades

Em vigor a partir de 1º de março de 2026

A TuxCare, Inc. é uma Autoridade de Numeração CVE (CNA) autorizada, registrada no Programa CVE (cve.org). Nosso escopo como CNA abrange vulnerabilidades em produtos desenvolvidos, mantidos e distribuídos pela TuxCare, Inc., incluindo o TuxCare Endless Lifecycle Support (ELS) e o TuxCare SecureChain para OSS.

Como CNA, a TuxCare pode atribuir IDs de CVE diretamente para vulnerabilidades dentro do escopo e publicar registros oficiais de CVE no site cve.org. Esta política descreve como nos relatar vulnerabilidades e o que esperar do processo de divulgação.

Como relatar uma vulnerabilidade

Envie relatórios de vulnerabilidades para [email protected]. Para divulgações confidenciais, criptografe sua mensagem usando nossa chave PGP de segurança.

Por favor, inclua:

Tipo de vulnerabilidade (por exemplo, RCE, escalonamento de privilégios, injeção de SQL, divulgação de informações)
Produto, serviço ou componente afetado — e versão, se conhecida
Instruções passo a passo para reprodução
Evidências de apoio (capturas de tela, registros, código de prova de conceito)
Sua avaliação do impacto potencial

O Processo de Divulgação

Quando você relatar uma vulnerabilidade à TuxCare, eis o que acontecerá:

Etapa 1 — Reconhecimento

Confirmaremos o recebimento da sua denúncia em até 3 dias úteis.

Etapa 2 — Triagem e atribuição de ID do CVE

No prazo de 5 dias úteis a partir do recebimento da notificação, avaliaremos se a questão constitui uma vulnerabilidade válida dentro do escopo do nosso CNA.

Caso a vulnerabilidade seja confirmada como dentro do escopo, atribuímos um ID CVE no prazo de 24 horas após a decisão de triagem e informamos a você o ID CVE e o cronograma de divulgação previsto. Também fornecemos uma avaliação inicial da gravidade (pontuação CVSS).
Caso a questão esteja fora do escopo do nosso CNA, iremos encaminhá-lo ao CNA adequado ou indicar o site cveform.mitre.org para evitar a duplicação de tarefas.
Caso o relato não seja considerado uma vulnerabilidade, explicaremos nosso raciocínio.

Etapa 3 — Remediação

Trabalhamos para desenvolver e verificar uma correção. Nosso prazo padrão de embargo é de 90 dias a partir da data da triagem confirmada. Forneceremos atualizações sobre o andamento à medida que a correção for avançando. Caso seja necessário mais tempo devido à complexidade, iremos notificá-lo imediatamente e solicitar uma prorrogação razoável.

Etapa 4 — Divulgação pública coordenada

Quando um patch estiver pronto e tiver sido testado:

Informamos a data prevista para a publicação do comunicado.
Publicamos um comunicado de segurança pública em tuxcare.com/cve-tracker.
Dentro de 24 horas após a publicação do aviso, divulgamos o registro CVE no site cve.org.
O embargo é suspenso, e você fica livre para publicar sua própria pesquisa.

Seu papel como repórter

A divulgação coordenada exige um compromisso mútuo. Solicitamos que vocês:

Aguarde para divulgar a informação até que a TuxCare tenha publicado seu comunicado e notificado você de que o embargo foi suspenso, ou até que tenham decorrido 90 dias a partir da data do seu relato inicial — o que ocorrer primeiro.
Coordenem os prazos caso planejem publicar pesquisas independentes, para que possamos alinhar a data de publicação do relatório consultivo.
Minimize o impacto durante sua pesquisa: evite destruir dados, não interrompa os sistemas de produção além do necessário para confirmar a vulnerabilidade e não acesse dados pertencentes a outros usuários.
Utilize exploits apenas para confirmar a vulnerabilidade — não aproveite o acesso para qualquer outro fim.

Caso você divulgue publicamente a informação antes de termos publicado uma correção, nos reservamos o direito de antecipar o prazo de publicação do nosso comunicado sem aviso prévio.

Não tomaremos medidas legais contra pesquisadores que agirem de boa-fé, em conformidade com esta política.

Reconhecimento

A TuxCare não mantém um programa de recompensa por bugs. Com a sua permissão, citamos os pesquisadores no comunicado de segurança relevante e no registro CVE, e temos o prazer de reconhecer contribuições de boa-fé para a segurança de nossos produtos, mesmo nos casos em que não se justifique a atribuição de um CVE.

Vulnerabilidades abrangidas pela análise

Produtos abrangidos pelo escopo do CNA da TuxCare (IDs de CVE atribuídos diretamente)

A TuxCare é a CNA de referência para vulnerabilidades em:

Suporte de Ciclo de Vida Ilimitado (ELS) da TuxCare — todos os sistemas operacionais e versões de linguagens de programação suportados
TuxCare SecureChain para OSS

Para vulnerabilidades confirmadas nesses produtos, a TuxCare atribuirá um ID CVE dentro de 24 horas após a triagem e publicará o registro CVE no site cve.org dentro de 24 horas após o aviso público.

Produtos adicionais aceitos (fora do escopo da CNA)

Também aceitamos relatórios de vulnerabilidades para o software TuxCare Live Patching (KernelCare). Como o Live Patching não está, no momento, dentro do escopo da nossa CNA, não atribuiremos IDs CVE diretamente a esses relatórios — caso seja necessário atribuir um ID CVE, entraremos em contato com a CNA responsável e manteremos você informado. Aplicam-se o mesmo processo de divulgação e os mesmos prazos.

Questões fora do escopo

Em geral, os itens a seguir não são aceitos como vulnerabilidades válidas:

Clickjacking em páginas sem ações confidenciais
CSRF em pontos de extremidade não autenticados
Ataques que exigem acesso físico ou uma posição privilegiada na rede (MITM) sem impacto comprovado
Ausência de cabeçalhos de segurança sem uma prova de conceito funcional
Ataques de negação de serviço
Divulgação da versão ou configuração do software
Engenharia social contra a equipe da TuxCare

Os compromissos da TuxCare

Compromisso	Linha do tempo
Confirme o recebimento do seu relatório	Em até 3 dias úteis
Atribuir um ID CVE (se for o caso)	No prazo de 24 horas após a decisão de triagem
Informar o ID do CVE e o nível de gravidade	A mesma notificação da atribuição do CVE
Fornecer atualizações sobre as medidas corretivas	Durante todo o período do embargo
Publicar o registro CVE no site cve.org	No prazo de 24 horas após o aviso público
Mencionar você no comunicado de alerta e no registro do CVE	Com a sua permissão